Restez organisé à l'aide des collections
Enregistrez et classez les contenus selon vos préférences.
Cette page décrit plusieurs exemples courants d'utilisation des restrictions sur les organisations.
Limiter l'accès à votre organisation uniquement
Dans cet exemple, l'administrateur Google Cloud et l'administrateur du proxy de sortie de l'organisation A s'engagent à limiter l'accès des employés aux seules ressources de leur organisationGoogle Cloud .
Pour limiter l'accès à votre organisation uniquement, procédez comme suit:
En tant qu' Google Cloud administrateur, pour obtenir l' Google Cloud ID de l'organisation A, utilisez la commande gcloud organizations list:
gcloud organizations list
Voici un exemple de résultat:
DISPLAY_NAME: Organization A
ID: 123456789
DIRECTORY_CUSTOMER_ID: a1b2c3d4
En tant qu'administrateur de proxy de sortie, après avoir obtenu l'ID de l'organisation auprès de l'administrateur Google Cloud, composez la représentation JSON de la valeur d'en-tête au format suivant:
Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, pour encoder le fichier, exécutez la commande basenc suivante:
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation A:
Limiter l'accès à votre organisation et autoriser les requêtes de lecture sur les ressources Cloud Storage
Dans cet exemple, l' Google Cloud administrateur et l'administrateur du proxy de sortie de l'organisation A s'engagent à limiter l'accès des employés aux seules ressources de leurGoogle Cloud organisation, à l'exception des requêtes de lecture des ressources Cloud Storage.
Les administrateurs peuvent choisir d'exclure les requêtes de lecture des ressources Cloud Storage de l'application des restrictions de l'organisation pour s'assurer que leurs employés peuvent accéder aux sites Web externes qui utilisent Cloud Storage pour héberger du contenu statique. L'administrateur utilise l'option cloudStorageReadAllowed pour autoriser les requêtes de lecture sur les ressources Cloud Storage.
Pour limiter l'accès à votre organisation uniquement et autoriser les requêtes de lecture aux ressources Cloud Storage, procédez comme suit:
En tant qu' Google Cloud administrateur, pour obtenir l' Google Cloud ID de l'organisation A, utilisez la commande gcloud organizations list:
gcloud organizations list
Voici un exemple de résultat:
DISPLAY_NAME: Organization A
ID: 123456789
DIRECTORY_CUSTOMER_ID: a1b2c3d4
En tant qu'administrateur de proxy de sortie, après avoir obtenu l'ID de l'organisation auprès de l'administrateur Google Cloud, composez la représentation JSON de la valeur d'en-tête au format suivant:
Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, pour encoder le fichier, exécutez la commande basenc suivante:
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation A:
Les employés de l'organisation A ont désormais accès à leur Google Cloud organisation et à un accès en lecture aux ressources Cloud Storage.
Autoriser les employés à accéder à une organisation Google Cloud de fournisseur
Dans cet exemple, l'administrateur Google Cloud et l'administrateur du proxy de sortie de l'organisation B collaborent pour permettre aux employés d'accéder à une organisation Google Cloud de fournisseur en plus de leur organisation Google Cloud existante.
Pour limiter l'accès des employés à votre organisation et à celle du fournisseur uniquement, procédez comme suit:
En tant qu' Google Cloud administrateur, contactez le fournisseur pour obtenir l' Google CloudID de l'organisation du fournisseur.
En tant qu'administrateur de proxy de sortie, pour inclure l'ID de l'organisation du fournisseur en plus de l'ID de l'organisation existant, vous devez mettre à jour la représentation JSON de la valeur de l'en-tête. Une fois que vous avez obtenu l'ID de l'organisation du fournisseur auprès de l'administrateur Google Cloud, mettez à jour la valeur de l'en-tête au format suivant:
Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, pour encoder le fichier, exécutez la commande basenc suivante:
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant soit inséré dans toutes les requêtes provenant des appareils gérés de l'organisation B:
Les employés de l'organisation B ont désormais accès au fournisseur et à leurs Google Cloud organisations.
Limiter l'accès aux importations uniquement
Dans cet exemple, l'administrateur Google Cloud et l'administrateur du proxy de sortie de l'organisation C s'associent pour limiter l'accès des employés à l'importation aux seules ressources de l'organisationGoogle Cloud .
Pour limiter l'accès à l'importation à votre organisation uniquement, procédez comme suit:
En tant qu' Google Cloud administrateur, pour obtenir l' Google Cloud ID de l'organisation C, utilisez la commande gcloud organizations list:
gcloud organizations list
Voici un exemple de résultat:
DISPLAY_NAME: Organization C
ID: 123456789
DIRECTORY_CUSTOMER_ID: a1b2c3d4
En tant qu'administrateur de proxy de sortie, après avoir obtenu l'ID de l'organisation auprès de l'administrateur Google Cloud, composez la représentation JSON de la valeur d'en-tête au format suivant:
Par exemple, si la représentation JSON de la valeur d'en-tête est stockée dans le fichier authorized_orgs.json, pour encoder le fichier, exécutez la commande basenc suivante:
En tant qu'administrateur de proxy de sortie, configurez le proxy de sortie de sorte que l'en-tête de requête suivant ne soit inséré que pour les requêtes avec les méthodes PUT, POST et PATCH provenant des appareils gérés de l'organisation C:
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/04 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/04 (UTC)."],[],[],null,["# Examples of organization restrictions\n\nThis page describes several common examples of how to use organization restrictions.\n\nRestrict access only to your organization\n-----------------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization A engage together to restrict employees to only access resources in their\nGoogle Cloud organization.\n\nTo restrict access only to your organization, do the following:\n\n1. As a Google Cloud administrator, to get the Google Cloud organization ID of\n Organization A, use the [`gcloud organizations list` command](/sdk/gcloud/reference/organizations/list):\n\n gcloud organizations list\n\n The following is the example output: \n\n ```\n DISPLAY_NAME: Organization A\n ID: 123456789\n DIRECTORY_CUSTOMER_ID: a1b2c3d4\n ```\n2. As an egress proxy administrator, after you get the organization ID from the Google Cloud\n administrator, compose the JSON representation for the header value in the following format:\n\n {\n \"resources\": [\"organizations/123456789\"],\n \"options\": \"strict\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted in all of the requests originating from the managed devices\n in Organization A:\n\n X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\nRestrict access to your organization and allow read requests to Cloud Storage resources\n---------------------------------------------------------------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization A engage together to restrict employees to only access resources in their\nGoogle Cloud organization, except for read requests to Cloud Storage resources.\nAdministrators might want to omit read requests to Cloud Storage resources from\norganization restrictions enforcement to ensure that their employees can access\nexternal websites that use Cloud Storage to host static content. The administrator\nuses the `cloudStorageReadAllowed` option to allow read requests to Cloud Storage resources.\n\nTo restrict access only to your organization and allow read requests to Cloud Storage\nresources, do the following:\n\n1. As a Google Cloud administrator, to get the Google Cloud organization ID of\n Organization A, use the [`gcloud organizations list` command](/sdk/gcloud/reference/organizations/list):\n\n gcloud organizations list\n\n The following is the example output: \n\n ```\n DISPLAY_NAME: Organization A\n ID: 123456789\n DIRECTORY_CUSTOMER_ID: a1b2c3d4\n ```\n2. As an egress proxy administrator, after you get the organization ID from the Google Cloud\n administrator, compose the JSON representation for the header value in the following format:\n\n {\n \"resources\": [\"organizations/123456789\"],\n \"options\": \"cloudStorageReadAllowed\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted in all of the requests originating from the managed devices\n in Organization A:\n\n X-Goog-Allowed-Resources: ewogICJyZXNvdXJjZXMiOiBbIm9yZ2FuaXphdGlvbnMvMTIzNDU2Nzg5Il0sCiAgIm9wdGlvbnMiOiAiY2xvdWRTdG9yYWdlUmVhZEFsbG93ZCIKfQo=l\n\n The employees of Organization A now have access to their Google Cloud organization\n and read access to Cloud Storage resources.\n\nAllow employees access to a vendor Google Cloud organization\n------------------------------------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization B engage together to allow employees to access a vendor Google Cloud organization\nin addition to their existing Google Cloud organization.\n\nTo restrict employee access only to your organization and the vendor organization, do the following:\n\n1. As a Google Cloud administrator, engage with the vendor to get the Google Cloud\n organization ID of the vendor organization.\n\n2. As an egress proxy administrator, to include the vendor organization ID in addition\n to the existing organization ID, you must update the JSON representation for\n the header value. After you get the vendor organization ID from the Google Cloud\n administrator, update the header value in the following format:\n\n {\n \"resources\": [\"organizations/1234\", \"organizations/3456\"],\n \"options\": \"strict\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted in all of the requests originating from the managed devices\n in Organization B:\n\n X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiLCAib3JnYW5pemF0aW9ucy8xMDExMTIxMzE0Il0sCiAib3B0aW9ucyI6ICJzdHJpY3QiCn0K\n\n The employees of Organization B now have access to both the vendor and their Google Cloud organizations.\n\nRestrict access only for uploads\n--------------------------------\n\nIn this example, the Google Cloud administrator and egress proxy administrator of\nOrganization C engage together to restrict upload access of employees only to resources in the\nGoogle Cloud organization.\n\nTo restrict upload access only to your organization, do the following:\n\n1. As a Google Cloud administrator, to get the Google Cloud organization ID of\n Organization C, use the [`gcloud organizations list` command](/sdk/gcloud/reference/organizations/list):\n\n gcloud organizations list\n\n The following is the example output: \n\n ```\n DISPLAY_NAME: Organization C\n ID: 123456789\n DIRECTORY_CUSTOMER_ID: a1b2c3d4\n ```\n2. As an egress proxy administrator, after you get the organization ID from the Google Cloud\n administrator, compose the JSON representation for the header value in the following format:\n\n {\n \"resources\": [\"organizations/123456789\"],\n \"options\": \"strict\"\n }\n\n3. As an egress proxy administrator, encode the value for the request header by following the [RFC 4648 Section 5 specifications](https://datatracker.ietf.org/doc/html/rfc4648#section-5).\n\n For example, if the JSON representation for the header value is stored in the\n `authorized_orgs.json` file, to encode the file, run the following\n [basenc](https://man7.org/linux/man-pages/man1/basenc.1.html) command: \n\n $ cat authorized_orgs.json | basenc --base64url -w0\n ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\n4. As an egress proxy administrator, configure the egress proxy such that the following\n request header is inserted only for requests with PUT, POST, and PATCH methods\n originating from the managed devices in Organization C:\n\n X-Goog-Allowed-Resources: ewogInJlc291cmNlcyI6IFsib3JnYW5pemF0aW9ucy8xMjM0NTY3ODkiXSwKICJvcHRpb25zIjogInN0cmljdCIKfQo\n\nWhat's next\n-----------\n\n- Learn about the [services supported by organization restrictions](/resource-manager/docs/organization-restrictions/supported-services)."]]
